网络链路告警阈值：固定阈值、动态基线、SLO 错误预算，你们到底怎么取舍？

背景：我在网络一线干了 15 年，每次做稳定性复盘，被问得最多的一句话都是"这个告警阈值是怎么定的？"，而几乎没人能给出统一答案。我见过三套做法，各有拥趸，也各有翻车现场，想借这个帖子把分歧摆到台面上讨论。

做法 A（固定阈值）：RTT>50ms 告警、丢包>0.1% 页到人。优点是简单、可审计、复盘时好解释；缺点是跨地域链路基础 RTT 可能本来 100ms+，这种阈值要么形同虚设，要么把告警淹死在噪声里——凌晨 3 点和白天同一指标越线，往往根本是两类故障。

做法 B（动态基线 / 异常检测）：EWMA 或 ML 学基线，告警"偏离度"。对真实异常敏感，但业务方听不懂、调参痛苦，大促前经常被人要求"调宽松点别误报"，真出事那天它恰好不报。

做法 C（SLO + 错误预算）：不看单指标，看"这条链路本月烧掉了多少 SLO"。理论最优雅，但要求业务方接受 SLO 语义，很多团队连链路 SLO 都定义不出来，更别提按预算做变更冻结和容量决策。

我的倾向：三者不是非此即彼，而是分层。固定阈值做"最后防线"（例如整链路丢包>5% 必须页人，不解释）；动态基线做"早期预警"（低级别，供人观察而非自动动作）；SLO 错误预算做"链路健康度裁决"（驱动变更冻结、容量规划和复盘归因）。但每一层都有坑：拓扑变更后固定阈值必须重调、基线会漂移、共享链路的 SLO 很难按业务切分。

想听大家：

1. 你的场景（跨地域骨干 / IDC 内网 / SaaS 出口）主用哪种？定阈值的依据是什么？
2. 对"抖动型"故障（P99 尖刺、30 秒级闪断），你是单指标监控还是复合指标（丢包×RTT×重传率）？有没有可复现的判据？
3. 业务方说"别页我"时，你拿什么说服他把告警分级而不是关掉？

欢迎贴具体配置和案例，空谈"看场景"的请附一个场景。